Zero Trust
Terapkan zero trust -- jangan pernah percaya, selalu verifikasi.
Zero Trust didefinisikan oleh hasil-hasil NIST CSF 2.0 PR.AA-03 (Users, services, and hardware are authenticated); PR.AA-04 (Identity assertions are protected, conveyed, and verified); PR.AA-05 (Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties); PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage). Crosswalk Dipetakan melalui crosswalk yang dipublikasikan dalam ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53 dan NIS2. Editorial Dipetakan secara editorial dalam SOC 2. Hanya terkait secara longgar dalam HIPAA. Tidak ada pemetaan dalam data kami Tidak ada pemetaan dalam data kami untuk GDPR, Essential Eight, DORA, CPS 234 dan Cyber Essentials.
| Kerangka kerja | Persyaratan | Judul | Tautan | Sumber / alasan |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-03PR.AA-04PR.AA-05PR.IR-01 | Users, services, and hardware are authenticated; Identity assertions are protected, conveyed, and verified; Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties… | Definisi topik | PR.AA-03 PR.AA-04 PR.AA-05 PR.IR-01 |
| ISO 27001 | A.5.15A.8.5A.8.22 | Access control; Secure authentication; Segregation of networks | Crosswalk | A.5.15: via PR.AA-03; PR.AA-05; NIST 800-53 map: AC-3, AC-6 A.8.5: via PR.AA-03; PR.AA-05 A.8.22: via PR.IR-01; NIST 800-53 map: AC-4 |
| CIS v8.1 | CIS 6.8CIS 12.2CIS 12.7CIS 13.5 | Define and Maintain Role-Based Access Control; Establish and Maintain a Secure Network Architecture; Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise's AAA Infrastructure… | Crosswalk | CIS 6.8: via PR.AA-05 CIS 12.2: via PR.IR-01 CIS 12.7: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): remote devices connect through VPN and enterprise AAA. CIS 13.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): access control for remote assets. |
| SOC 2 | CC6.6 | Protection against threats from outside system boundaries | Editorial | CC6.6: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 7.2.18.3.1 | Access control model defined; User and admin access requires an authentication factor | Crosswalk | 7.2.1: via PR.AA-05 8.3.1: via PR.AA-03 |
| CMMC | AC.L2-3.1.1SC.L2-3.13.1SC.L2-3.13.6 | Authorized Access Control; Boundary Protection; Network Communication by Exception | Crosswalk | AC.L2-3.1.1: via 800-171r3 03.01.01 ↔ PR.AA-05; 800-171r2 Appendix D → AC-3 SC.L2-3.13.1: via 800-171r3 03.13.01 ↔ PR.IR-01 SC.L2-3.13.6: via 800-171r3 03.13.06 ↔ PR.IR-01 |
| 800-53 | AC-3AC-4IA-2AC-6 | Access Enforcement; Information Flow Enforcement; Identification and Authentication (Organizational Users)… | Crosswalk | AC-3: via PR.AA-05; PR.IR-01 AC-4: via PR.IR-01 IA-2: via PR.AA-03 AC-6: via PR.AA-05 |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d)§164.308(a)(3)§164.308(a)(3)(ii)(A) | Tidak dipetakan ke topik ini | Persyaratan ini hanya berbagi hasil CSF topik ini (PR.AA-03, PR.AA-04, PR.AA-05, PR.IR-01) melalui crosswalk yang diterbitkan: layak diperiksa, bukan pemetaan. | |
| GDPR | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan GDPR yang dipetakan ke topik ini dalam data kami. |
| NIS2 | 6.811.111.6 | Network segmentation; Access control policy; Authentication | Crosswalk | 6.8: via PR.IR-01; ENISA ISO map: A.8.22 11.1: via PR.AA-05; ENISA ISO map: A.5.15 11.6: via PR.AA-03; PR.AA-05 |
| Essential Eight | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan Essential Eight yang dipetakan ke topik ini dalam data kami. |
| DORA | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan DORA yang dipetakan ke topik ini dalam data kami. |
| CPS 234 | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan CPS 234 yang dipetakan ke topik ini dalam data kami. |
| Cyber Essentials | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan Cyber Essentials yang dipetakan ke topik ini dalam data kami. |
Definisi topik Hasil CSF 2.0 yang mendefinisikan topik ini · Crosswalk setidaknya satu pilihan didukung crosswalk yang dipublikasikan · Editorial Penilaian ControlMapping, beserta alasannya · belum dipetakan, hanya berbagi hasil CSF untuk topik ini · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Metodologi.
ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.
Pemetaan salah atau belum ada? Laporkan
Tentang Zero Trust
Arsitektur zero trust beroperasi berdasarkan prinsip bahwa tidak ada pengguna, perangkat, atau segmen jaringan yang boleh dipercaya secara implisit, sehingga diperlukan verifikasi berkelanjutan atas identitas dan otorisasi untuk setiap permintaan akses. Implementasinya melibatkan mikrosegmentasi, proxy yang sadar identitas, pemeriksaan postur perangkat, kebijakan akses hak minimum (least-privilege), dan pemantauan berkelanjutan terhadap seluruh lalu lintas jaringan, terlepas dari asalnya. Organisasi yang mengadopsi zero trust sebaiknya menerapkannya secara bertahap, dimulai dengan verifikasi identitas dan MFA, kemudian memperluas ke segmentasi jaringan dan isolasi beban kerja seiring kematangan arsitektur.